Extensible Storage Engine (ESE) Database

Format	Extensible Storage Engine (ESE) Database
Kurzname	ESE
Kategorie	Datenbank
Plattformen	Windows
Crush Unterstützung	Noch nicht unterstützt
Status	Überprüft
Zuletzt überprüft	2026-10-04

Forensische Relevanz

Die eingebettete Datenbank-Engine von Microsoft (JET Blue). Verwendet von SRUM (SRUDB.dat, Netzwerk- und Energienutzung pro App), Windows Search bis Windows 10 (Windows.edb; Windows 11 verwendet stattdessen SQLite), dem WebCache von Internet Explorer/Edge Legacy, Active Directory (ntds.dit) und Exchange. Pages werden über Transaktionslogs (.log/.jrs) geschrieben, und eine von einem laufenden System kopierte Datenbank kann sich im Zustand 'dirty shutdown' befinden (im Datei-Header vermerkt), mit Änderungen, die noch nur in den Logs stehen.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 4 (0x4)	EF CD AB 89	....	Datei-Header-Signatur 0x89ABCDEF an Offset 4

Bekannte Dateiendungen

.edb, .dat, .dit

Referenzen

Extensible Storage Engine (ESE) Database File (EDB) format (libyal/libesedb) https://github.com/libyal/libesedb/blob/main/documentation/Extensible%20Storage%20Engine%20(ESE)%20Database%20File%20(EDB)%20format.asciidoc
ForensicsWiki — ESE database file format https://forensics.wiki/extensible_storage_engine_(ese)_database_file_(edb)_format/
Windows Search Index: the forensic artifact you've been searching for — ESE vs. SQLite in Windows 11 (LevelBlue/Stroz Friedberg, 2023) https://www.levelblue.com/blogs/spiderlabs-blog/windows-search-index-the-forensic-artifact-youve-been-searching-for/

Diesen Eintrag zitieren

Crush-Format-Referenz, „Extensible Storage Engine (ESE) Database“. https://kalink0.github.io/crush-forensics/formats/de/ese/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden